Sovereign Mode ist ein Feature-Toggle, kein Zertifizierungsabzeichen

Altovar stellt eine Unterscheidung klar, die in Souveränitätsdiskussionen immer wieder verschwimmt: Sovereign Mode, eine in Auris verfügbare Einstellung, ist eine Produktkonfiguration und keine Zertifizierung. Wird sie aktiviert, ändert sich das Standardverhalten des Produkts. Sie bedeutet jedoch nicht, dass die Installation die ACN-Zertifizierung Italiens, das BSI C5 Deutschlands, SecNumCloud Frankreichs oder irgendeine Immunität gegenüber dem US CLOUD Act erlangt hat.

Was der Toggle tatsächlich ändert

Laut Altovars eigener Produktdokumentation deaktiviert Sovereign Mode standardmäßig bestimmte US-basierte Social-Identity-Provider und die SMS-Zustellung über einen US-Anbieter sowie einige weitere zugehörige Konfigurationen. Die genaue Liste der betroffenen Funktionen für eine konkrete Installation steht in der Konfigurationsreferenz des Produkts und nicht in Marketingtexten – da es sich um eine Einstellung handelt, ist ihr Umfang anhand der aktuellen Dokumentation zu prüfen und nicht aus einer Kurzbeschreibung abzuleiten.

Warum ein Toggle keine Zertifizierung ist

ACN, BSI C5 und SecNumCloud sind formale Verfahren nationaler Behörden, die jeweils ein unabhängiges Audit anhand eines veröffentlichten Kriterienkatalogs erfordern. Italiens Agenzia per la Cybersicurezza Nazionale zertifiziert Cloud-Dienste für den öffentlichen Sektor. Das deutsche BSI betreibt den Cloud Computing Compliance Criteria Catalogue, bekannt als C5. Frankreichs ANSSI führt SecNumCloud durch, der als strengstes der drei Verfahren gilt, weil er eine rechtliche Ansässigkeit und operationale Unabhängigkeit von nichteuropäischen Einflüssen voraussetzt. Keines dieser Verfahren kann ein Softwarehersteller sich selbst durch eine Konfigurationsoption verleihen – jedes erfordert einen benannten Auditor, einen festgelegten Prüfungsumfang und ein Zertifikat mit Ablaufdatum.

Warum das für Einkäufer relevant ist

Beschaffungsteams, die Datensouveränitätsanforderungen prüfen, verwechseln mitunter die Standardeinstellungen eines Anbieters mit einer zertifizierten Garantie. Beides ist nicht dasselbe. Wer für eine Ausschreibung SecNumCloud, C5 oder ACN benötigt, sollte das Zertifikat und dessen Geltungsbereich beim Anbieter anfordern und nicht eine Liste von Schaltern. Altovars eigene Position ist es, diese Sachverhalte getrennt zu halten: Sovereign Mode beschreibt, was das Produkt tut; die Zertifizierung beschreibt, was ein unabhängiger Auditor geprüft hat.

Quellen: SecNumCloud (Wikipedia), OVHcloud on EU security standards.